Cohere veut racheter la start-up AISLE, qui a trouvé plus de 500 failles avec CVE en un an

Cohere a annoncé un projet de rachat d'AISLE, entreprise fondée en 2025 qui conçoit des systèmes autonomes de détection et de correction de vulnérabilités inconnues dans les logiciels critiques. Formellement, le titre de l'annonce évoque une lettre d'intention, tandis que le texte parle d'une « proposed agreement to acquire » : la transaction n'est donc pas encore conclue. Le prix, la structure et le calendrier ne sont pas divulgués. En revanche, les chiffres d'AISLE sont impressionnants : en un an, plus de 500 vulnérabilités auxquelles un CVE a été attribué, dans 100+ bases de code.

Ce qu'AISLE a démontré en un an

L'argument central de Cohere repose sur des résultats concrets, pas sur une démo avec des benchmarks synthétiques. Selon l'entreprise, le système a trouvé les 12 vulnérabilités corrigées dans la version de sécurité d'OpenSSL de janvier, ainsi que 18 des 24 CVE de la dernière version de curl. Les deux projets font partie de la couche de base d'internet, et leurs mainteneurs sont réputés pour la rigueur avec laquelle ils traitent les rapports. D'après Cohere, ces découvertes ont été vérifiées de façon indépendante par les mainteneurs eux-mêmes.

L'approche d'AISLE est décrite comme une combinaison de plusieurs briques : des modèles de fondation dont les capacités progressent, une expertise en sécurité, une analyse de code à grande échelle, une validation stricte et une correction automatisée. La validation est ici le mot-clé. Le bruit des rapports de vulnérabilités générés par des modèles irrite depuis longtemps les développeurs open source ; un système dont les découvertes sont acceptées et se voient attribuer des CVE s'attaque précisément à ce problème.

Les métriques de l'annonce en bref :

• âge de l'entreprise : fondée en 2025 ;
• plus de 500 vulnérabilités jusque-là inconnues, avec CVE ;
• plus de 100 bases de code ;
• 12 vulnérabilités sur 12 dans la version d'OpenSSL de janvier ;
• 18 CVE sur 24 dans la dernière version de curl.

Pourquoi Cohere fait cette acquisition

Cohere se positionne de façon constante comme un fournisseur d'IA souveraine pour les entreprises et les administrations, et non comme un concurrent des chatbots grand public. Le déploiement en private cloud, on-prem et dans des environnements totalement isolés (air-gapped) est le socle de cette offre. Pour ces clients, la sécurité détermine si un projet passera du pilote à la production.

Le rachat d'AISLE prolonge la ligne européenne de Cohere, qui a déjà acquis Reliant AI et conclu un partenariat avec Aleph Alpha. Une entreprise dotée d'une expertise en cybersécurité s'ajoute désormais à cet ensemble. Pour les secteurs régulés et la sphère publique en Europe, l'association d'un contrôle local des données et d'une équipe de sécurité en propre forme un package logique.

Il y a aussi une motivation liée à la recherche. Cohere écrit que les capacités du modèle de base et celles du système spécialisé construit autour de lui se renforcent mutuellement. Si l'on rapproche la recherche autonome de vulnérabilités du développement et de l'entraînement des modèles, les tâches de sécurité complexes et vérifiables pourraient devenir un moyen d'évaluer et d'améliorer les futurs modèles. La recherche de vulnérabilités produit justement un résultat sans ambiguïté : soit le CVE est confirmé, soit il ne l'est pas. C'est un signal rare en programmation, qui ne dépend d'aucune appréciation subjective.

Ce que recevront les clients et ce qu'il faut surveiller

Cohere promet cinq axes de renforcement, tous présentés pour l'instant comme attendus, et non comme prêts :

• détection avancée des menaces pour les déploiements en entreprise et dans le secteur public ;
• gouvernance, monitoring et observabilité pour les agents IA et les processus autonomes ;
• protection des données sensibles et des systèmes critiques ;
• déploiements sécurisés en private cloud, on-prem et air-gapped ;
• systèmes cyber-résilients, capables d'identifier et de hiérarchiser les menaces et d'y réagir.

En pratique, cela signifie ceci. Les équipes qui choisissent une plateforme d'agents dans un environnement régulé ont intérêt à attendre la finalisation de la transaction et à demander des précisions : la recherche de vulnérabilités sera-t-elle intégrée à un produit commercial ou restera-t-elle un outil de recherche interne ? Comment les fonctions agentiques de monitoring seront-elles connectées ? Le tout fonctionne-t-il sans accès à internet ? Les mainteneurs open source feraient bien de vérifier si AISLE conservera son processus actuel de divulgation et de validation après le rachat. Quant à ceux qui construisent leurs propres pipelines agentiques, l'exemple d'AISLE suggère une métrique : ne pas compter le nombre de rapports, mais le nombre de CVE confirmés et acceptés.